Le registre des traitements est le premier document demandé lors d'un contrôle CNIL — et le premier exigé par les assureurs cyber. Il est obligatoire pour quasiment toutes les entreprises, quelle que soit leur taille.
Étape 1 — Lister les traitements, pas les logiciels
On ne recense pas « le logiciel de paie » mais « la gestion de la paie ». Une PME classique compte 12 à 20 traitements : recrutement, paie, gestion clients, prospection, facturation, vidéosurveillance, badges, newsletter, support.
Étape 2 — Documenter chaque traitement
- Finalité (pourquoi ces données sont collectées)
- Base légale (contrat, obligation légale, intérêt légitime, consentement)
- Catégories de personnes et de données
- Destinataires, y compris les sous-traitants
- Durée de conservation
- Mesures de sécurité appliquées
Étape 3 — Traquer les données sensibles
Santé, condamnations, données biométriques, opinions : leur présence impose des mesures renforcées et parfois une analyse d'impact. C'est le point le plus souvent oublié dans les PME de services.
Étape 4 — Fixer des durées de conservation réalistes
Repères courants : candidatures non retenues 2 ans, prospects 3 ans après le dernier contact, factures 10 ans, bulletins de paie 5 ans, vidéosurveillance 30 jours maximum.
Étape 5 — Vérifier ses sous-traitants
Chaque prestataire qui traite des données pour vous (paie, cloud, CRM, infogérance) doit être lié par un contrat comportant les clauses RGPD, et l'hébergement doit être documenté.
Étape 6 — Faire vivre le registre
Un registre figé n'a aucune valeur. Prévoyez une revue semestrielle et une mise à jour à chaque nouvel outil déployé.
Les erreurs les plus fréquentes
- Un registre copié-collé d'un modèle générique, sans lien avec l'activité réelle
- Aucune trace des mesures de sécurité (chiffrement, sauvegarde, contrôle d'accès)
- Des comptes d'anciens salariés toujours actifs — une non-conformité immédiate
Nous accompagnons la mise en conformité technique des PME parisiennes : cartographie, sécurisation des accès, chiffrement et sauvegarde. Contactez-nous pour un point de situation.